Исследователи из Университета Миссури разработали метод Ghostcommit, который позволяет скрывать инструкции для кражи секретов из репозиториев с помощью обычных изображений. Это важно, поскольку в современных условиях, когда AI-агенты становятся всё более распространёнными, такие уязвимости могут угрожать безопасности компаний и проектов.
Как это работает
Группа ASSET Research, возглавляемая профессором Судиптой Чаттопадхьяй и исследователем Мурали Эдигой, продемонстрировала метод на примере реального кода. Они опубликовали доказательство концепции на GitHub и сообщили о своих findings в затронутые компании. Метод использует PNG-изображения, в которых скрыты злонамеренные команды, которые AI-кодеры не могут распознать, и, следовательно, не отклоняют их.
Примером атаки является создание файла AGENTS.md, содержащего лишь указатель на изображение, в то время как в самом изображении содержатся инструкции для доступа к .env файлу репозитория и кражи конфиденциальных данных. Исследование показало, что около 73% запросов на слияние в популярных репозиториях проходили без надлежащей проверки, что делает метод особенно опасным.
Атака в действии
Проблема усугубляется тем, что инструкции скрыты в изображении и воспринимаются как бинарный файл, что полностью обходило систему проверки. Код по сути делает запрос к изображению в момент, когда разработчик требует модуль, что вызывает выполнение инструкций и кражу данных из .env. В одном эксперименте удалось получить данные на первом же запросе, преобразовав байты в целые числа, которые AI-агент затем записал в код.
Практические выводы для разработчиков
Для разработчиков и компаний это сигнал о необходимости более тщательной проверки pull-запросов. Учитывая высокую вероятность злоупотребления новыми методами взлома, важно внедрять системы анализа, которые смогут распознавать такие подмены, а также обучать сотрудников на тему актуальных уязвимостей.
Прогноз: с учетом развития технологий защиты AI-агенты могут получить новые механизмы проверки, однако разработчикам стоит быть на чеку, так как злоумышленники также не стоят на месте.